وقتی یادداشت باج‌خواهی روی صفحه ظاهر می‌شود، نخستین اقدامات شما تعیین می‌کند بازیابی چقدر طول بکشد و چه مقدار داده از دست برود. کارهایی را که در 24 ساعت نخست باید انجام دهید و از آن‌ها پرهیز کنید مرور می‌کنیم؛ از ایزوله کردن سیستم‌ها و حفظ شواهد تا تأیید سلامت نسخه‌های پشتیبان و اطلاع‌رسانی نقض داده طبق KVKK.
یکی از کارکنان صبح سر کار می‌آید و می‌بیند پسوند فایل‌هایش تغییر کرده و روی دسکتاپ یک فایل متنی با عنوان «داده‌های شما رمزگذاری شده است» قرار دارد. چند دقیقه بعد نرم‌افزار حسابداری باز نمی‌شود و پوشه‌های سرور فایل قابل خواندن نیستند. هر مدیری امیدوار است هرگز چنین لحظه‌ای را تجربه نکند، اما هر مدیری باید برای آن آماده باشد.
درباره پیشگیری از باج‌افزار، از جمله اینکه چرا پشتیبان‌های تغییرناپذیر آخرین خط دفاعی هستند، مطالب زیادی نوشته شده است. این مقاله درباره واکنش است، نه پیشگیری: پس از وقوع حمله، در ۲۴ ساعت نخست چه باید کرد و از چه کارهایی باید قطعاً پرهیز کرد؟
گام‌های زیر یک چارچوب کلی است. هر رخداد با دیگری متفاوت است و در یک حمله جدی، همکاری با یک تیم باتجربه پاسخ به رخداد همیشه تصمیم درستی است.
ساعت نخست: مهار هراس، توقف گسترش
باج‌افزار به‌ندرت روی یک رایانه باقی می‌ماند. تلاش می‌کند به اشتراک‌های شبکه، سرورها و هر پشتیبانی که به آن دسترسی دارد سرایت کند. نخستین هدف شما جلوگیری از گسترش خسارت است.
دستگاه‌های آلوده را از شبکه جدا کنید
کابل شبکه را بکشید و Wi-Fi را در رایانه‌ها و سرورهایی که نشانه‌های رمزگذاری دارند خاموش کنید. در سرورهای مجازی، قطع کارت شبکه مجازی یا ایزوله کردن VLAN مربوطه روی فایروال همین کار را انجام می‌دهد. در صورت لزوم، دسترسی اینترنت و تونل‌های VPN میان شعب را موقتاً قطع کنید.
دستگاه‌ها را بی‌حساب خاموش نکنید
نخستین واکنش معمولاً خاموش کردن رایانه است. اما اطلاعات موجود در حافظه، مانند فرایندهای در حال اجرا، اتصال‌های باز و گاهی کلیدهای رمزگذاری، با خاموش شدن دستگاه از بین می‌رود. این اطلاعات برای فهم چگونگی وقوع حمله و در برخی موارد برای بازیابی داده‌ها ارزشمند است. معمولاً جدا کردن از شبکه برای توقف گسترش کافی است. در صورت امکان، تصمیم خاموش کردن را همراه با یک متخصص پاسخ به رخداد بگیرید.
یک مسئول رخداد تعیین کنید
وقتی همه در حال امتحان کردن چیزی هستند، شواهد از بین می‌رود و تصمیم‌ها با هم تداخل پیدا می‌کنند. یک هماهنگ‌کننده واحد تعیین کنید. تیم فنی، مدیریت، واحد حقوقی و روابط عمومی همگی باید از طریق این فرد کار کنند. فرض را بر این بگذارید که مهاجمان ممکن است به ایمیل نیز دسترسی داشته باشند و برای ارتباط از تلفن یا یک کانال پیام‌رسان جداگانه استفاده کنید.
شواهد را حفظ کنید
فشار برای بازگرداندن سریع سیستم‌ها بسیار زیاد است. اما پاک کردن شواهد در این مسیر ممکن است باعث شود هرگز نفهمید مهاجم چگونه وارد شده است. بازیابی بدون بستن راه نفوذ می‌تواند به تکرار همان حمله ظرف چند روز منجر شود.
- از یادداشت باج‌خواهی و هر پیامی که روی صفحه نمایش داده می‌شود عکس بگیرید.
- لاگ‌های فایروال، VPN، ایمیل و سرورها را خروجی بگیرید؛ برخی دستگاه‌ها لاگ‌ها را به‌سرعت بازنویسی می‌کنند.
- پیش از حذف هر چیزی، از سرورهای مجازی آلوده اسنپ‌شات یا نسخه کپی تهیه کنید.
- دیسک‌های رمزگذاری‌شده را بازنویسی یا فرمت نکنید.
- یک گاه‌شمار رخداد نگه دارید: چه کسی، چه چیزی را، چه زمانی متوجه شد و هر گام در چه زمانی برداشته شد.
این سوابق برای تحلیل فنی و همچنین برای اطلاع‌رسانی‌های رسمی بعدی و مطالبات بیمه لازم است.
دامنه حادثه را مشخص کنید
بدون دانستن اینکه کدام سیستم‌ها آسیب دیده‌اند، نمی‌توانید برنامه بازیابی تدوین کنید. در چند ساعت نخست، به دنبال پاسخ این پرسش‌ها باشید:
- کدام سرورها، رایانه‌ها و اشتراک‌ها رمزگذاری شده‌اند؟
- آیا کنترلر دامنه و سیستم‌های هویت آسیب دیده‌اند؟
- آیا سرور پشتیبان و مخازن پشتیبان در دسترس و سالم هستند؟
- آیا ممکن است داده‌ها به بیرون منتقل شده باشند؟ آیا در روزهای اخیر ترافیک خروجی غیرعادی و زیادی وجود داشته است؟
- حمله ممکن است از کجا آغاز شده باشد: یک ایمیل فیشینگ، یک پورت ریموت دسکتاپ باز، یا یک دستگاه VPN وصله‌نشده؟
بسیاری از گروه‌های باج‌افزاری امروزه پیش از رمزگذاری، از داده‌ها کپی می‌گیرند و سپس از اخاذی مضاعف استفاده می‌کنند: «پرداخت کنید، وگرنه منتشر می‌کنیم». بنابراین بررسی دامنه باید نه‌تنها «چه چیزی رمزگذاری شد» بلکه «چه چیزی ممکن است دزدیده شده باشد» را نیز پوشش دهد.
باج را از روی واکنش آنی پرداخت نکنید
مهاجمان با تایمرهای شمارش معکوس و افزایش مبلغ باج فشار ایجاد می‌کنند. زیر این فشار، پرداخت ممکن است وسوسه‌انگیز به نظر برسد. اما دانستن چند واقعیت ضروری است:
- پرداخت، دریافت یک ابزار رمزگشایی کارآمد را تضمین نمی‌کند. ابزارهای ارائه‌شده ممکن است کند، پرایراد یا ناقص باشند.
- پرداخت به معنای حذف داده‌های دزدیده‌شده نیست.
- سازمان‌هایی که پرداخت می‌کنند ممکن است دوباره هدف قرار گیرند.
- پرداخت پیامدهای حقوقی و مالیاتی دارد، بنابراین این تصمیم باید با مشاور حقوقی بررسی شود.
اگر پشتیبان‌های سالم و در دسترس داشته باشید، اغلب اصلاً بحث پرداخت پیش نمی‌آید. پس پیش از هر گفت‌وگویی درباره پرداخت، وضعیت پشتیبان‌های خود را روشن کنید.
سلامت پشتیبان‌ها را تأیید کنید
پشتیبان‌ها قلب فرایند بازیابی هستند. مهاجمان این را می‌دانند و پیش از رمزگذاری تلاش می‌کنند پشتیبان‌ها را حذف یا خراب کنند. پیش از آغاز بازیابی، موارد زیر را بررسی کنید:
- آیا پشتیبان‌ها دست‌نخورده‌اند؟ نسخه‌هایی که در مخازن تغییرناپذیر یا در باکت‌های S3 محافظت‌شده با object lock نگهداری می‌شوند، حتی در صورت لو رفتن رمز عبور مدیر نیز قابل حذف نیستند. این نسخه‌ها معمولاً مطمئن‌ترین نقطه شروع هستند.
- پشتیبانِ کدام تاریخ پاک است؟ ممکن است مهاجمان پیش از رمزگذاری، روزها یا حتی هفته‌ها در شبکه حضور داشته‌اند. آخرین پشتیبان نیز ممکن است حاوی بدافزار باشد. پشتیبان را در یک محیط ایزوله باز و اسکن کنید.
- آیا سرور پشتیبان امن است؟ اگر سرور پشتیبان عضو دامنه باشد و به خطر افتاده باشد، بازیابی از یک سرور پشتیبان تازه‌راه‌اندازی‌شده امن‌تر است.
نگهداری یک نسخه از پشتیبان‌ها مستقل از شبکه اصلی، در مکانی دیگر و به‌صورت تغییرناپذیر، در این مرحله تفاوت بزرگی ایجاد می‌کند. این جوهره قاعده پشتیبان‌گیری 3-2-1 است.
ترتیب بازیابی را برنامه‌ریزی کنید
تلاش برای بازیابی همه‌چیز به‌طور هم‌زمان، هم شبکه و هم تیم را از نفس می‌اندازد. یک ترتیب اولویت از پیش تعیین‌شده بازیابی را سرعت می‌بخشد. یک ترتیب معمول به این شکل است:
- زیرساخت و هویت: یک بخش شبکه پاک، قوانین فایروال، کنترلر دامنه و DNS.
- برنامه‌های حیاتی کسب‌وکار: ERP، حسابداری، سیستم‌های فروش و سفارش، پایگاه‌های داده.
- ارتباطات: ایمیل و ابزارهای پیام‌رسانی داخلی.
- اشتراک‌های فایل: ابتدا پروژه‌های فعال و پوشه‌های اخیر، سپس بایگانی‌ها.
- رایانه‌های کاربران: ترجیحاً با نصب مجدد از یک ایمیج پاک.
سیستم‌های بازیابی‌شده را مستقیماً به شبکه قدیمی وصل نکنید. آن‌ها را در یک محیط ایزوله اعتبارسنجی کنید، وصله‌های امنیتی را اعمال کنید و تنها پس از آن به محیط عملیاتی منتقل کنید. تعیین از پیش اینکه هر سیستم باید با چه سرعتی بازگردد (RTO) و چه میزان از دست رفتن داده قابل قبول است (RPO)، گرفتن این تصمیم‌ها را زیر فشار بسیار آسان‌تر می‌کند.
اطلاعات ورود را بازنشانی کنید
بیشتر حملات باج‌افزاری از طریق حساب‌های کاربری به خطر افتاده پیش می‌روند. بازگرداندن سیستم‌ها کافی نیست؛ باید کلیدهایی را که در دست مهاجم است نیز باطل کنید.
- رمز عبور همه حساب‌های مدیر و حساب‌های سرویس را تغییر دهید.
- اگر از Active Directory استفاده می‌کنید، رمز عبور حساب Kerberos (krbtgt) را به‌صورت کنترل‌شده و با پشتیبانی متخصص بازنشانی کنید.
- احراز هویت چندعاملی را برای VPN، دسترسی از راه دور، پورتال‌های ابری و ایمیل الزامی کنید.
- به دنبال حساب‌های کاربری جدید و وظایف زمان‌بندی‌شده‌ای باشید که ممکن است در جریان حمله ایجاد شده باشند.
- رمزهای مدیریتی زیرساخت‌هایی مانند فایروال‌ها و پلتفرم مجازی‌سازی را فراموش نکنید.
از تکالیف اطلاع‌رسانی غافل نشوید
حمله باج‌افزاری اغلب یک نقض داده‌های شخصی نیز هست. اگر سیستم‌های رمزگذاری‌شده یا داده‌های خارج‌شده حاوی اطلاعات مشتریان، کارکنان یا تأمین‌کنندگان باشند، طبق KVKK، قانون حفاظت از داده‌های شخصی ترکیه، تعهداتی ایجاد می‌شود.
به‌عنوان یک قاعده کلی، کنترل‌کننده داده باید بدون تأخیر و حداکثر ظرف 72 ساعت پس از آگاهی از نقض، مراتب را به هیئت حفاظت از داده‌های شخصی اطلاع دهد. افراد آسیب‌دیده نیز باید در مدت زمان معقولی مطلع شوند. توصیه می‌کنیم محتوا و زمان‌بندی اطلاع‌رسانی را با مشاور حقوقی خود هماهنگ کنید.
همچنین موارد زیر را در نظر بگیرید:
- اگر بیمه‌نامه سایبری دارید، بیمه‌گر را زود مطلع کنید؛ بسیاری از بیمه‌نامه‌ها مهلت‌ها و رویه‌های مشخصی تعیین می‌کنند.
- برای طرح شکایت کیفری با نهادهای انتظامی تماس بگیرید.
- بر پایه واقعیت‌های تأییدشده، یک بیانیه روشن برای مشتریان و شرکای تجاری آماده کنید.
از چه کارهایی پرهیز کنیم: فهرستی کوتاه
- فرمت کردن دیسک‌های رمزگذاری‌شده یا بازیابی روی آن‌ها.
- اجرای ابزارهای «رمزگشای» تصادفی پیدا شده در اینترنت روی سیستم‌های عملیاتی.
- اتصال دوباره سیستم‌ها به اینترنت پیش از یافتن راه نفوذ.
- اجازه دادن به افراد غیرمجاز برای تماس با مهاجمان.
- گفت‌وگو درباره رخداد از طریق حساب‌های ایمیلی که ممکن است به خطر افتاده باشند.
- پیش رفتن بدون ثبت آنچه رخ داده است.
پس از رخداد: درس‌های آموخته‌شده
کار با بالا آمدن سیستم‌ها تمام نمی‌شود. ظرف چند هفته، جلسه‌ای برای بازبینی با کل تیم برگزار کنید. مهاجم از کجا وارد شد، چرا شناسایی نشد، کدام گام‌ها مؤثر بود و کدام‌ها وقت را هدر داد؟ پاسخ‌ها باید به اقدامات مشخص تبدیل شوند: فرایندهای وصله‌گذاری، احراز هویت چندعاملی، بخش‌بندی شبکه، پشتیبان‌های تغییرناپذیر و آزمون‌های منظم بازیابی.
تطبیق گام‌های این مقاله با محیط خودتان و تبدیل آن‌ها به یک برنامه مکتوب پاسخ به رخداد، پیش از رخداد بعدی، هنگام وقوع یک حمله واقعی ساعت‌ها در زمان شما صرفه‌جویی می‌کند.
پرسش‌های متداول
آیا باید رایانه آلوده را فوراً خاموش کنم؟
معمولاً نه. ابتدا آن را از شبکه جدا کنید. خاموش کردن می‌تواند شواهد ارزشمند موجود در حافظه را از بین ببرد. در صورت امکان، تصمیم خاموش کردن را با یک متخصص پاسخ به رخداد بگیرید.
آیا بازیابی آخرین پشتیبان کافی است؟
نه همیشه. ممکن است مهاجمان روزها در شبکه حضور داشته‌اند و آخرین پشتیبان حاوی بدافزار باشد. پشتیبان را در یک محیط ایزوله اعتبارسنجی کنید و در صورت نیاز، یک نسخه پاک قدیمی‌تر را انتخاب کنید.
آیا برای هر رخداد باج‌افزاری اطلاع‌رسانی KVKK لازم است؟
اگر سیستم‌های آسیب‌دیده حاوی داده‌های شخصی باشند و محرمانگی، یکپارچگی یا دسترس‌پذیری آن‌ها تحت تأثیر قرار گرفته باشد، به احتمال بسیار زیاد تکلیف اطلاع‌رسانی ایجاد می‌شود. وضعیت را با مشاور حقوقی ارزیابی کنید و مهلت 72 ساعته را از دست ندهید.
آیا باج‌افزار می‌تواند روی پشتیبان‌های ابری اثر بگذارد؟
اگر مهاجم حساب مدیر نرم‌افزار پشتیبان‌گیری را در اختیار بگیرد، پشتیبان‌های ابری معمولی نیز قابل حذف هستند. اما نسخه‌هایی که به‌عنوان تغییرناپذیر علامت‌گذاری شده‌اند، در طول دوره نگهداری تعریف‌شده قابل حذف یا تغییر نیستند.
با CloudRUX برای بازیابی آماده باشید
هر کسی می‌تواند زیرساخت بخرد؛ تفاوت در زمان بحران این است که در آن سوی خط مهندسی باشد که به فارسی و ترکی با شما صحبت می‌کند و خودش سیستم‌ها را اداره می‌کند. CloudRUX پشتیبان‌های شما را در دیتاسنترهایی در ترکیه، با نسخه‌های تغییرناپذیر و صورت‌حساب ماهانه ثابت نگهداری می‌کند. گزینه‌های پشتیبان‌گیری به‌عنوان سرویس (BaaS) و ذخیره‌سازی شیء S3 ما را بررسی کنید، یا برای مرور مشترک برنامه پشتیبان‌گیری و بازیابی خود با ما تماس بگیرید.